CVE-2023-28430 in OneSignal
Riassunto
di VulDB • 24/06/2026
OneSignal è un servizio di email, SMS, notifiche push e messaggi in-app per applicazioni mobili. Il workflow Zapier.yml viene attivato alla chiusura degli issue (tipologia: [closed]), ovvero quando un Issue viene chiuso. Il workflow inizia con un token del repository GitHub dotato di pieni permessi di scrittura, poiché le autorizzazioni predefinite dei workflow a livello di Organizzazione/Repository sono impostate su lettura-scrittura. Questo workflow esegue il seguente passaggio utilizzando dati controllati dal commento (${{ github.event.issue.title }} – titolo completo dell'Issue), consentendo a un attaccante di assumere il controllo del GitHub Runner ed eseguire comandi personalizzati, potenzialmente rubando qualsiasi segreto (se utilizzato) o alterando il repository. Questa vulnerabilità è stata rilevata con CodeQL utilizzando l'iniezione di espressioni JavaScript nelle query delle Actions. Il problema è stato risolto nell'azione GitHub dei repositories. Non sono necessarie azioni da parte degli utenti. Questo issue è inoltre tracciato come `GHSL-2023-051`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.